Identité numérique et contrôle d'accès dans les établissements de santé

1. Introduction : qui accède à quoi, et avec quel moyen

Dans un établissement de santé, la gestion des identités et des accès est devenue une question de sécurité des soins, de protection des données patients et de conformité, pas seulement une question informatique.

Le terrain est connu : mots de passe partagés entre collègues, comptes génériques par service, droits jamais révoqués après un départ, dizaines d'applications à rouvrir plusieurs fois par jour. Ce fonctionnement pèse à la fois sur la sécurité et sur le temps des soignants.

Le contexte cyber ne laisse pas de marge. Les établissements de santé figurent parmi les secteurs les plus touchés par les rançongiciels, et le vol d'identifiants reste l'un des principaux vecteurs d'entrée initiale dans un système d'information.

Cet article présente le cadre réglementaire (eIDAS 2.0, PGSSI-S, RIE), le programme HospiConnect et ses financements (CaRE, HOP'EN 2), puis la réponse concrète de NXSTEP : un badge physique qui sert à la fois de titre d'accès aux locaux et de second facteur d'authentification, des lecteurs, et la couche logicielle RCDevs qui relie le tout aux postes et aux applications.

2. Le cadre réglementaire : eIDAS, PGSSI-S et RIE

L'Europe fixe les niveaux de confiance ; la France les décline pour la santé. Les deux textes qui comptent pour un établissement sont le règlement eIDAS 2.0 et le Référentiel d'Identification Électronique (RIE).

eIDAS et eIDAS 2.0

Le règlement eIDAS organise la reconnaissance mutuelle des identités numériques entre États membres. Sa révision (règlement UE 2024/1183, en vigueur depuis le 20 mai 2024) introduit le portefeuille européen d'identité numérique (EUDI Wallet), que chaque État doit proposer à ses résidents d'ici fin 2026. Pour la santé en France, la mise en œuvre nationale passerait par l'application France Identité (orientation non confirmée à ce jour).

eIDAS définit trois niveaux de garantie :

• Faible : identification basique, contrôle limité. Usage en santé : services peu sensibles.
• Substantiel : authentification forte (2FA), vérification d'identité rigoureuse à l'enrôlement. Usage en santé : accès au DPI, DMP / Mon Espace Santé.
• Élevé : moyen certifié, résistant aux attaques physiques et logiques. Usage en santé : actes à très haute valeur juridique (signature qualifiée).

Le niveau substantiel est la cible pour l'accès aux services numériques sensibles.

PGSSI-S et RIE

La PGSSI-S est le cadre de référence de la sécurité des systèmes d'information de santé, élaboré par la Délégation au Numérique en Santé et l'Agence du Numérique en Santé (ANS). Le RIE en est la déclinaison consacrée à l'identification et à l'authentification des professionnels. Il s'articule autour de deux axes :

• Qualité de l'identité : enrôlement avec vérification d'identité, rattachement à un référentiel national (RPPS, ou SIRH pour les autres personnels), gestion documentée des arrivées, mutations et départs, habilitations par profession.
• Modalités d'authentification : 2FA pour les services sensibles, moyens d'identification électronique (MIE) conformes, protocoles standards (OIDC, SAML), traçabilité des accès.

Les moyens d'identification électronique

• Carte CPS / CPS NG : carte à puce physique, niveau substantiel.
• e-CPS : application mobile, niveau substantiel.
• Clé FIDO2 : clé de sécurité physique, niveau substantiel à élevé (pilote en cours).
• Pro Santé Connect : fédérateur d'identité OIDC, niveau substantiel.

La carte CPE (carte d'établissement) est en voie d'extinction au profit de la CPS NG. Les établissements doivent intégrer cette transition à leur planification.

Pro Santé Connect

Pro Santé Connect (PSC), opéré par l'ANS sur OpenID Connect, est le fédérateur d'identité des professionnels. Il agrège les MIE, fournit aux services numériques une assertion d'identité standardisée et peut permettre, aux établissements dotés d'un IAM, d'être habilités comme fournisseurs d'identité délégués.

3. HospiConnect : le programme national

HospiConnect est le programme porté par l'ANS pour appliquer le RIE dans le secteur hospitalier. Lancé en 2024 avec une phase expérimentale, il est en phase de généralisation sur 2026-2028. Il ne se limite pas à la connexion au DMP : il couvre le cycle de vie des identités jusqu'aux modalités d'accès aux services numériques.

Les quatre piliers

1. Gestion des identités : référentiel local synchronisé avec RPPS et SIRH, procédures d'enrôlement, arrivées, départs, mutations.
2. Droits et accès : matrice de droits par rôle, provisionnement automatisé, révocation immédiate.
3. Authentification forte : MIE 2FA conformes au RIE (CPS NG, FIDO2), connecteur OIDC vers Pro Santé Connect, SSO.
4. Sécurité et traçabilité : journaux d'accès, identités d'urgence, accès des externes et intérimaires.

Trois niveaux de maturité

1. Conformité de base : 2FA pour les médecins et IDE sur le DPI, procédure de mise à jour des comptes, habilitations documentées.
2. Maturité SSO : composant IAM / WebSSO avec délégation de l'authentification du DPI par OIDC, 2FA étendue à tous les utilisateurs du DPI.
3. Excellence et interopérabilité : habilitation comme fournisseur d'identité délégué de Pro Santé Connect, gestion des externes, intérimaires et urgences, gouvernance formalisée.

Les jalons du calendrier (2FA sur les services sensibles, authentification conforme pour le DMP, indicateurs de maturité) sont des projections qui peuvent évoluer : à confirmer auprès de l'ANS avant de bâtir un plan.

4. Les financements : CaRE et HOP'EN 2

Deux dispositifs complémentaires soutiennent le déploiement d'HospiConnect, accessibles via le portail Convergence. CaRE finance le matériel d'authentification, HOP'EN 2 finance la transformation et les solutions logicielles.

• CaRE (volet HospiConnect) : cartes, lecteurs, clés FIDO2, expérimentations, audits techniques. Guichets ouverts par vagues. Candidature via eCaRE / Convergence. Versement à l'atteinte d'objectifs mesurables.
• HOP'EN 2 (volet HospiConnect) : transformation organisationnelle, solutions IAM / SSO, conduite du changement. Période 2026-2028. Inscription au dispositif HospiConnect requise. Versement à l'atteinte d'indicateurs de maturité.

Les deux dispositifs concernent les établissements de santé et médico-sociaux, publics et privés. La combinaison des deux est la voie logique : CaRE pour les badges, tokens et lecteurs, HOP'EN 2 pour le projet logiciel et l'accompagnement. Les modalités exactes (taux, plafonds, calendrier des guichets) doivent être vérifiées sur le portail Convergence avant tout dépôt de dossier.

5. L'offre NXSTEP : le support physique et le logiciel, d'un seul interlocuteur

NXSTEP fournit les deux briques que les établissements achètent aujourd'hui séparément : le support physique d'identification (badges, tokens USB, lecteurs) et le logiciel qui l'exploite (RCDevs). Le même badge ouvre la porte et la session Windows.

• Badges : badges HID et badges Neowave. Second facteur et titre d'accès aux locaux (pilier 3).
• Tokens USB : tokens USB Neowave, pour les profils sans badge ou en mobilité. Second facteur sur poste (pilier 3).
• Lecteurs : lecteurs HID (gamme OMNIKEY) ou Neowave (NFC). Passage de badge aux portes et aux postes partagés.
• Poste d'enrôlement : émission et association du badge à l'identité (pilier 1).
• Logiciel RCDevs : contrôle d'accès, ouverture de session, suivi des accès (piliers 2 et 4).

Trois points de choix :

• Un seul support pour deux usages. Le badge sert à entrer dans le bâtiment et à ouvrir la session sur les postes, y compris les postes partagés.
• Deux gammes de lecteurs. Une offre HID et une offre Neowave, au choix de l'établissement selon son existant et son budget. Les lecteurs HID coûtent environ deux fois plus cher que les lecteurs NFC Neowave.
• Composants certifiés. Les composants Neowave sont certifiés EAL6+ par l'ANSSI, ce qui répond aux exigences de souveraineté des établissements publics.

NXSTEP intervient en intégrateur : fourniture, installation, enrôlement, paramétrage du logiciel et interface avec l'annuaire et l'IAM déjà en place. Le périmètre et le prix se définissent sur devis, avec une remise possible selon le volume.

6. Les situations propres à l'hôpital

Un dispositif d'accès doit tenir sur les cas qui compliquent la vie d'un établissement, pas seulement sur le cas nominal.

• Poste partagé. Les postes passent d'un soignant à l'autre. Un passage de badge ouvre la session personnelle en quelques secondes et la ferme au départ, ce qui évite qu'une session reste ouverte sur des données patient.
• Intérimaires et remplaçants. Un badge est remis et associé à une identité dès le premier jour, à partir des données du SIRH, avec des droits limités.
• Intervenants externes et prestataires. Identités temporaires, droits restreints, date d'expiration automatique.
• Accès d'urgence. Accès dit « bris de glace » : possible sans délai, mais tracé et signalé à la DSI.
• Départ d'un agent. Les droits sont retirés en une opération centrale, et le badge cesse de fonctionner aux portes comme sur les postes.
• Locaux sensibles. Pharmacie, blocs, salles serveurs : l'accès physique et l'accès logique reposent sur la même identité, et les journaux se recoupent.

Ces cas relèvent du pilier 4 d'HospiConnect (sécurité et traçabilité) et se préparent dès le cadrage, pas après le déploiement.

7. Mise en œuvre : six étapes

1. Diagnostic : audit des annuaires, des MIE en place, des habilitations et des applications ; niveau de maturité actuel. Financement : CaRE (audits techniques).
2. Gouvernance : matrice des droits, procédures d'arrivée, de départ et de mutation, responsable des identités. Financement : HOP'EN 2.
3. Enrôlement et référentiel : référentiel local synchronisé avec RPPS et SIRH, poste d'enrôlement, vérification d'identité. Financement : HOP'EN 2.
4. Matériel : badges, tokens USB, lecteurs ; distribution et formation des utilisateurs. Financement : CaRE (socle matériel).
5. Logiciel : paramétrage RCDevs, ouverture de session, interface avec l'annuaire, l'IAM et le DPI. Financement : HOP'EN 2 (solutions logicielles).
6. Généralisation : extension aux applications, tableaux de bord de maturité, revue annuelle des habilitations. Financement : HOP'EN 2.

Facteurs de réussite

• Un portage au niveau de la direction générale et de la direction des soins.
• Les soignants associés dès la conception des parcours d'authentification, pour éviter les contournements.
• Une approche progressive, en suivant les niveaux de maturité d'HospiConnect.
• Un matériel compatible avec la transition CPE vers CPS NG.

Points de vigilance

• La gestion des habilitations est souvent le chantier le plus long et le plus sensible.
• La résistance aux nouveaux modes d'authentification est réelle : prévoir l'accompagnement.
• Vérifier la compatibilité du DPI et des applications métier avec OIDC.
• Traiter dès le début les urgences, les intérimaires, les externes et l'accès hors établissement.

8. Conclusion

Les exigences sont connues et les financements CaRE et HOP'EN 2 existent jusqu'en 2028. Reste à choisir un support d'identification et un logiciel qui tiennent ensemble.

NXSTEP propose les deux : badges, tokens USB et lecteurs d'un côté, logiciel RCDevs de l'autre, avec un interlocuteur unique pour le diagnostic, l'installation et l'exploitation. Une première discussion de 20 minutes suffit pour situer votre établissement : annuaire utilisé, technologie de lecteur en place, applications concernées.